サイバーセキュリティポリシー

協調的脆弱性開示（CVD）ガイドライン

• 無断での情報共有を避ける。 協調的開示プロセスの進行中は、脆弱性に関する議論を影響を受けるベンダー、システム所有者、および当方のみに限定してください。
• 修正のための時間を確保する。 脆弱性を一般公開する前に、関係者が対処するための十分な時間を確保するか、DropBGを含むすべての当事者間で開示の合意に達するまでお待ちください。
• システムへの操作を最小限にする。 脆弱性を報告した後は、協調的開示プロセス中に該当システムへのさらなる操作を行わないでください。
• 調査範囲を限定する。 概念実証（PoC）を示す際は、必要最小限の操作のみを行ってください。必要以上にデータのダウンロード、変更、削除を行わないでください。
• アクセス権限を超えない。 概念実証に必要な最小限の範囲を超えて権限昇格やシステム探索を行わないでください。テストにはご自身のアカウントのみを使用し、他のユーザーのデータを決して外部に持ち出さないでください。
• 倫理的な手法を用いる。 システムへのアクセスを得るためにブルートフォース攻撃やソーシャルエンジニアリング手法を使用しないでください。
• 悪意のある行為を避ける。 サービス妨害（DDoS）攻撃を行ったり、マルウェアやウイルスをインストールしたりしないでください。
• IPアドレスを提供する。 可能な限り、調査中に使用したIPアドレスをお知らせください。これにより、悪用の可能性を評価し、誤検知アラートを減らすことができます。
• 公開予定を事前に共有する。 講演や記事などで発見事項を公開する予定がある場合は、事前にお知らせください。